Violazione della privacy e risarcimento del danno

Con l'aumento della diffusione dei dispositivi digitali nella nostra quotidianità, la protezione dei dati personali è diventata un argomento di crescente importanza.I casi di violazione della privacy sono sempre più comuni, causando danni agli utenti che si trovano, ad esempio, a scoprire che le informazioni fornite vengono utilizzate da terze parti per scopi non dichiarati in fase di raccolta dati.

Secondo l'ordinanza n. 16402 del 10 giugno 2021, la Corte di Cassazione respinge la richiesta di risarcimento economico per danni non patrimoniali causati dalla violazione dei dati personali. Questa decisione, sebbene possa suscitare preoccupazione, non diminuisce l'importanza della tutela dei dati personali.

 L’ultima sentenza della Corte di Cassazione conferma infatti l'allineamento con le normative nazionali ed europee sulla compensazione dei danni non patrimoniali, sottolineando il rispetto delle scelte legislative europee in questo ambito.

Violazione della privacy e danno non patrimoniale

La violazione della privacy nella maggior parte dei casi causa danni immateriali come sofferenze psicologiche o impatti sociali, senza coinvolgere direttamente la sfera economica della vittima. Ad esempio, azioni come lo spam via email, l'installazione non autorizzata di cookie, trasferimenti illeciti di dati o cattiva gestione dei dati personali possono provocare compromissioni dello status individuale o disagi psicologici.

Questi danni rientrano nel concetto di danno non patrimoniale, che è rimasto unitario nel nostro sistema legale nonostante alcune sentenze del 2019, mantenendo un'unica forma di riparazione per danni alla persona senza possibilità di duplicazioni risarcitorie. Questo tipo di danno non riguarda direttamente l'aspetto finanziario, ma si concentra sui danni psicologici o sociali subiti dalla vittima a causa della violazione della sua privacy.

Violazione: danno non patrimoniale e risarcibilità

La valutazione del risarcimento per il danno non patrimoniale causato dalla violazione dei dati personali è definita da specifiche caratteristiche. Già in passato, i giudici di palazzo Cavour avevano delineato tali requisiti, evidenziando che la lesione non può limitarsi alla mera violazione delle normative, ma deve rappresentare un impatto separato, valutato in base alla gravità e alla serietà del danno (come indicato nella Cassazione n. 222/2016).

L'ordinanza precedentemente citata ha respinto una richiesta di risarcimento seguendo questa impostazione. La Corte di Cassazione, richiamando una precedente sentenza (n. 17383 del 20/8/2020), ha ribadito che il danno non patrimoniale, pur derivante dalla violazione delle norme sulla privacy, deve essere valutato considerando la gravità della lesione e la serietà del danno. Questa valutazione tiene conto del bilanciamento tra il diritto violato e il principio di solidarietà, richiedendo che la condotta non solo violi le prescrizioni ma offenda significativamente il diritto stesso.

GDPR e Corte di Cassazione: valutazione del danno non patrimoniale

Nel contesto giuridico attuale, si pone in discussione la rilevanza delle decisioni giudiziarie precedenti basate sull'articolo 15 del precedente d.l.vo n. 196/2003, il quale faceva riferimento al danno non patrimoniale solo per consentirne il riconoscimento, anche in caso di violazione del previgente articolo 11. 

Un punto di dibattito riguarda l'articolo 23 della Direttiva 95/46/CE che non differenziava tra danno patrimoniale e non patrimoniale, lasciando a discrezione di alcuni giudici degli Stati membri l'opzione di escludere o limitare il risarcimento del danno non patrimoniale in termini economici.

Il Regolamento Generale sulla Protezione dei Dati (GDPR), in particolare l'articolo 82, conferma il diritto al risarcimento per coloro che subiscono danni materiali o immateriali a causa di violazioni del regolamento. Tuttavia, la giurisprudenza della Corte di Cassazione non consente di aggirare direttamente l'applicazione dell'articolo 82 del GDPR per richiedere il risarcimento del danno immateriale derivante dalla violazione dei dati personali. Le sentenze considerate si basano invece sull'impianto della responsabilità extra-contrattuale e richiedono la prova della lesione dell'interesse tutelato e della gravità del danno.

Cosa dice la Sentenza della Cassazione

Un esempio tangibile di questa valutazione si rintraccia nella sentenza  della Corte di Cassazione numero 11020/2021, la quale ha confermato il risarcimento del danno non patrimoniale derivante da un trattamento illecito dei dati personali, valutando attentamente la gravità della lesione e la serietà del danno.

In sintesi, l'adeguamento dei criteri giudiziali per valutare il danno non patrimoniale della Corte di Cassazione non sembra essere in conflitto con le disposizioni del GDPR. Nel panorama legale italiano, si evidenzia una consonanza con le previsioni del GDPR e della Carta dei diritti Fondamentali dell'Unione Europea, garantendo la tutela per coloro che subiscono danni non patrimoniali a causa di trattamenti illeciti dei dati personali, previa dimostrazione della gravità della lesione del diritto e del danno subito.

Sanzioni amministrative per la violazione della privacy

Per concludere l'analisi sulle violazioni della privacy, è cruciale considerare l'aspetto relativo alle multe imposte dalle Autorità di controllo in base al GDPR. La normativa ha drasticamente aumentato le penalità che le aziende o i responsabili del trattamento possono affrontare in caso di violazione delle regole.

Le sanzioni possono ammontare fino a 20 milioni di euro (o il 4% del fatturato globale se superiore) per violazioni gravi e fino a 10 milioni di euro (o il 2% del fatturato globale se superiore) per violazioni meno gravi. Sorge una domanda legittima: l'invio di comunicazioni promozionali senza consenso potrebbe generare una sanzione così elevata? Inoltre, potrebbe accadere che, nonostante la multa elevata, la richiesta di risarcimento del danno non patrimoniale sia respinta per mancanza di gravità e serietà della lesione subita dalla parte danneggiata.

Tuttavia, è importante sottolineare che l'articolo 83 del GDPR stabilisce che le Autorità di controllo devono considerare specifici criteri e seguire il principio di proporzionalità nell'applicare le sanzioni pecuniarie. Il Considerando n. 148 enfatizza che, in caso di violazione minore o se l'imposizione di una sanzione pecuniaria dovesse risultare gravosa per una persona fisica, potrebbe essere emesso un ammonimento anziché una multa.

Prospettive future: protezione della privacy nel contesto digitale

In prospettiva dei prossimi anni, ci si aspetta un continuo sviluppo e affinamento della normativa sulla violazione della privacy, specialmente alla luce delle crescenti sfide digitali e delle mutate esigenze legate alla protezione dei dati personali. È probabile che si assista a un costante aggiornamento delle leggi esistenti, con una particolare attenzione verso nuove regolamentazioni orientate a coprire contesti tecnologici emergenti, come l'Intelligenza Artificiale. 

Al contempo, ci si attende una maggiore enfasi sull'attuazione pratica delle norme attuali, con controlli più rigorosi per garantire la conformità delle organizzazioni alle disposizioni del GDPR e di altre leggi sulla privacy. 

Inoltre, il crescente interesse e consapevolezza pubblica sulla privacy potrebbero spingere verso una maggiore trasparenza e controllo da parte degli individui sui propri dati personali, influenzando così possibili sviluppi normativi futuri.

Nel complesso, il panorama della violazione della privacy è destinato a subire ulteriori evoluzioni per adattarsi al dinamico scenario digitale, ponendo una maggiore enfasi sulla protezione dei dati e sui diritti degli individui in un contesto sempre più interconnesso e tecnologicamente avanzato.

(fonte immagine: Freepik)